Ik kan 5.000 Euro per dag verdienen, meldt een onbekende via Whatsapp. Te mooi om waar te zijn…

Pieppiep. Er komt via Whatsapp een bericht binnen. Ik kan 5.000 Euro per dag verdienen met thuiswerk, meldt een onbekende afzender. Als ik meer wil weten moet ik op een link klikken. Het aanbod is verleidelijk.

Dat weet de onbekende afzender ook. Waarschijnlijk een cybercrimineel die via social engineering probeert om mij te bewegen op de link te klikken.

Het is al het tweede bericht binnen twee weken.

Ik ben uiteraard nieuwsgierig. Niet vanwege het aanbod, maar beroepsmatig. Hoe ziet de website waarmee de cybercrimineel mij in de val wil lokken er uit?

Ik klik niet. Uiteraard niet. Ik ken de risico’s.

Misschien activeer ik via de link een script dat een virus instaleert.

De dader zou ook kunnen proberen om via phishing mij inloggegevens te ontfutselen.

Ik krijg het bericht binnen op mijn iPhone. Die is goed beveiligd. Waarschijnlijk loop ik geen risico als ik toch even op de link klik. Zal ik het doen? Even kijken?

Nee. Want ook met een iPhone loop ik risico. Bovendien bevestig ik zodra ik op de link klik dat ik open sta voor gevaarlijke verleidingen. Dan kan ik nog meer spam verwachten.

Meer actueel awareness nieuws

Facebook moet in Italië 10 miljoen Euro boete betalen wegens overtreding van Europese privacywet

Facebook is in Italië veroordeeld tot een boete van tien miljoen euro wegens het overtreden van de Algemene Verordening Gegevensbescherming (AVG). De boete is opgelegd door de Italiaanse mededingingsautoriteit AGCM.

AGCM beschuldigt Facebook van een agressieve handelspraktijk omdat de mogelijkheid om op andere sites en applicaties in te loggen met Facebook-accountgegevens vooraf is ingesteld zonder de uitdrukkelijke toestemming van de gebruiker.

De door Facebook geplande opties voor het deselecteren van de functie voldoen niet aan de eisen van de ACG.

Meer actueel awareness nieuws

Facebook zou jouw persoonsgegevens verkocht hebben aan Netflix en AirBnB. Interne documenten gelekt

Facebook komt opnieuw negatief in het nieuws. Uit interne documenten blijkt dat Facebook sommige bedrijven zoals Netflix, Airbnb, Lyft en Badoo in 2015 persoonsgegevens van gebruikers doorspeelde. Waaronder contacten met vrienden.

Uit de interne documenten die door het Britse lid van het Europees Parlement Damian Collins zijn gepubliceerd blijkt dat Facebook contracten heeft afgesloten met de bedrijven die de gegevens ontvingen.

Het Britse parlementslid Collins ontving de 223 pagina’s tellende documenten van Six4Three, een app-ontwikkelaar die niet meer op de markt is en betrokken is bij een juridisch geschil met Facebook.

Facebook verklaart dat de documenten “selectief zijn uitgelekt”, uit hun verband zijn gehaald en in het licht van de gerechtelijke procedure zijn geplaatst.

Collins zegt dat hij de documenten moest publiceren omdat ze “belangrijke vragen opwerpen over hoe Facebook omgaat met gebruikersinformatie, samenwerkt met app-ontwikkelaars en een dominante positie inneemt op de social media markt.”

Uit de documenten komen andere controversiële methoden van Facebook naar voren.

Collins suggereert bijvoorbeeld dat het netwerk sinds 2013 geen Twitter-toegang meer zou geven aan Facebook-gebruikers. Dit zou te maken hebben gehad met de marktintroductie van het videoplatform Vine.

De documenten laten ook zien hoe Facebook in 2015 zonder toestemming telefoonlogs heeft verzameld van Android-smartphone-gebruikers.

Meer actueel awareness nieuws

DigiD phishing mail maakt honderden slachtoffers. Cybercriminelen doen zich voor als overheid

Cybercriminelen hebben afgelopen weekeinde via een phishingmail de inloggegevens van honderden mensen te hebben ontfutseld. Volgens Logius dachten de slachtoffers dat het om een mailbericht van de overheid ging. Logius is de instantie die verantwoordelijk is voor de DigiD-inlogmethode.

Logius-woordvoerder Rick Bron vertelt aan Nu.nl dat er in totaal 361 mensen in de phishingmail zijn getrapt.

“In het afgelopen weekend is er weer een golf aan phishingmails verstuurd”, aldus Bron. Het betrof e-mails die afkomstig leken van MijnOverheid.

In de mails stond dat een bericht van MijnOverheid klaar stond om gelezen te worden. Slachtoffers moesten op een link drukken om via DigiD in te loggen en het bericht te lezen.

In werkelijkheid werden de DigiD-inloggegevens verstuurd naar een kwaadwillende die de mails had verstuurd. Die kreeg hierdoor toegang tot andermans DigiD-accounts, waarmee ze veel privégegevens konden inzien.

In echte e-mails van MijnOverheid staat nooit een link, gebruikers wordt altijd gevraagd in hun browser naar MijnOverheid te gaan. De aanwezigheid van een link een in e-mail is daarom een aanwijzing dat gebruikers mogelijk met phishing te maken hebben.

Alle getroffen accounts zijn van DigiD verwijderd

Bron wil niet zeggen hoe Logius precies wist te achterhalen dat 361 mensen door de phishingactie zijn getroffen. “Maar als we weten waar de site van zo’n aanvaller staat, dan kunnen we al een hoop zien.” Het is ook niet bekend naar hoeveel mensen de phishingmail in totaal is verzonden.

De getroffen accounts zijn inmiddels allemaal van DigiD verwijderd. De slachtoffers krijgen een brief in huis, waarin staat dat ze in een phishingmail zijn getrapt. Gebruikers waarvan een telefoonnummer bekend is, worden opgebeld.

Het is vooralsnog niet bekend wat voor gegevens de criminelen precies van de slachtoffers hebben gestolen. Er zijn volgens Bron nog geen signalen dat de accounts ook op bepaalde manieren zijn misbruikt voordat ze van de servers van DigiD werden verwijderd.

Tweede grote DigiD-phishingaanval dit jaar

Het is de tweede keer dit jaar dat een grote groep DigiD-gebruikers slachtoffer is van een phishingaanval. In juni waarschuwde de overheid voor een vergelijkbare mail, waar toen 203 mensen in waren getrapt.

Hoewel de e-mails erg op elkaar lijken, is het nog niet zeker of de aanvallen van deze week en in juni door dezelfde criminelen werden uitgevoerd. Logius heeft beide keren aangifte gedaan bij de politie, waarbij het onderzoek nog zou lopen.

Meer actueel awareness nieuws

Datalek bij Quora. Gegevens van 100 miljoen gebruikers liggen op straat

Quora, een populaire site waar gebruikers vragen kunnen stellen en antwoorden kunnen geven, heeft een groot datalek gemeld. Cybercriminelen hebben gegevens van 100 miljoen Quora gebruikers buitgemaakt.

Quora meldt dat het datalek op 30 november 2018 is ontdekt. Quora heeft alle gebruikers uitgelogd en dwingt alle accounts om het wachtwoord te resetten.

Welke gegevens zijn er gelekt bij Quora?

  • Accountinformatie, zoals naam, e-mailadres, versleuteld (hashed) wachtwoord, gegevens geïmporteerd uit gekoppelde netwerken wanneer de gebruikers daarvoor toestemming hebben gegeven.
  • Publieke inhoud en acties, zoals vragen, antwoorden, commentaar, opmerkingen, upvotes
  • Niet-openbare inhoud en acties, zoals antwoordverzoeken, downvotes, directe berichten.
  • Vragen en antwoorden die anoniem zijn geschreven worden niet beïnvloed door deze schending, omdat Quora de identiteit van mensen die anonieme inhoud plaatsen niet opslaat.

De overgrote meerderheid van de geraadpleegde inhoud was al openbaar op Quora, maar het lekken van account- en andere privacygevoelige informatie is ernstig.

Meer actueel awareness nieuws

7 Europese consumentenbonden klagen Google aan wegens schending AVG. Google registreert onrechtmatig waar jij bent geweest

Consumentenorganisaties in Nederland, Polen, Griekenland, Noorwegen, Slovenië, Zweden en Tsjechië klagen Google aan wegens onrechtmatige monitoring van de locatie van gebruikers. De zeven organisaties hebben hun krachten gebundeld. Ze hebben ieder bij hun eigen nationale Autoriteit Persoonsgegevens (AP) een klacht ingediend tegen de internetgigant.

Google schendt volgens de consumentenorganisaties op grote schaal de Algemene Verordening Gegevensbescherming (AVG).

Google volgt zijn gebruikers via “Locatiegeschiedenis” en “Web & App Activity”, instellingen die in alle Google-accounts zijn geïntegreerd. Voor degenen die gebruik maken van Android-smartphones, waaronder Samsung en Huawei-telefoons, is tracking bijzonder moeilijk te vermijden.

De klachten zijn gebaseerd op nieuw onderzoek van de Noorse consumentenbond Forbrukerradet, die lid is van de Europese consumentenorganisatie BEUC.

De consumentenorganisaties beschuldigen Google van ,,bedrieglijke praktijken” om gebruikers ertoe te brengen om in diverse Google applicaties het trackingsysteem te activeren waarmee Google kan bepalen waar iemand zich bevindt.

Volgens de consumentenorganisaties overtreedt Google de Algemene Verordening Gegevensbescherming ook omdat het bedrijf
geen “eenvoudige informatie” heeft verstrekt over wat het opgeven van de gegevens werkelijk met zich meebrengt en “de consument in het ongewisse laat over het gebruik van zijn persoonlijke gegevens.

“Locatiegegevens kunnen veel onthullen over mensen, waaronder religieuze overtuigingen (naar plaatsen van aanbidding), politieke gezindheid (naar demonstraties), gezondheidsproblemen (regelmatige ziekenhuisbezoeken) en seksuele geaardheid (bezoek aan bepaalde bars)”, zeggen de consumentenorganisaties.

Gro Mette Moen, waarnemend hoofd van de eenheid, digitale diensten in de Noorse Consumentenbond, zegt dat Google zeer gedetailleerde en uitgebreide persoonlijke gegevens verwerkt zonder de juiste juridische gronden, en die gegevens verkrijgt door manipulatietechnieken.

Hij voegde eraan toe dat Google registreert waar gebruikers naartoe gaan, en hoe ze zich verplaatsen, en deze gegevens kunnen worden gecombineerd met andere informatie, zoals wat gebruikers zoeken en de websites die ze bezoeken.

“Dergelijke informatie kan op zijn beurt weer worden gebruikt voor zaken als gerichte reclame die bedoeld is om ons te beïnvloeden wanneer we ontvankelijk of kwetsbaar zijn.”

Een gedetailleerd rapport zei er verscheidene manieren Google trucs zijn gebruikers in het delen van hun plaats zijn.

In de eerste plaats gebeurt dit door middel van een misleidende click-flow, die gebruikers er bij het opzetten van een Android-toestel toe aanzet om de “Locatiegeschiedenis” in te schakelen zonder dat ze daarvan op de hoogte zijn. Dit is in strijd met de wettelijke verplichtingen van het GDPR om geïnformeerde en vrijelijk toestemming te vragen.

Vervolgens worden de standaardinstellingen voor “Web & App Activity” verborgen achter extra klikken en standaard ingeschakeld.

Google geeft ook misleidende en onevenwichtige informatie, beweert de groep, aangezien gebruikers onvoldoende informatie krijgen wanneer zij keuzes krijgen voorgelegd en misleid worden over de gegevens die worden verzameld en hoe deze worden gebruikt. Bijvoorbeeld, informatie over hoe locatiegegevens worden gebruikt voor reclame wordt verdoezeld achter extra kliks.

Meer actueel awareness nieuws

Gemeente Oldambt overtreedt Algemene Verordening Gegevensbescherming. Persoonsgegevens vergunningaanvrager gepubliceerd

De Oost-Groninger gemeente Oldambt heeft geblunderd bij de publicatie van de aanvraag van een vergunning. Daarbij werden privacygevoelige gegevens als e-mailadres, mobiel nummer en zelfs het burgerservicenummer (BSN) op de site van de gemeente gepubliceerd, meldt RTV Noord. De gemeente heeft de Algemene Verordening Gegevensbescherming (AVG) overtreden.
De gegevens zijn intussen van de site verwijderd.

De aanvrager van de vergunning is volgens RTV Noord ‘oprecht heel erg boos’ op de gemeente Oldambt. “Dit biedt zoveel mogelijkheden tot fraude, het gaat mij echt een stap te ver”, laat hij weten.
Met name de publicatie van de BSN-gegevens kan grote gevolgen hebben. Het Burger Service Nummer van de vergunningaanvrager kan nu door kwaadwillenden misbruikt worden voor identiteitsfraude bij officiele instanties.

Menselijke fout

Wethouder Laura Broekhuizen van de gemeente Oldambt heeft met de aanvrager gebeld en namens de gemeente haar excuses aangeboden.

Volgens de gemeente Oldambt is zijn de persoonsgegevens online gekomen door een menselijke fout. “Ons aanvraagsysteem werkt met twee versies van een document. Het ene bevat alle gegevens, het andere alleen de gegevens die wij publiceren. Een medewerker heeft per ongeluk het verkeerde document geplaatst.”

De gemeente Oldambt onderzoekt hoe voorkomen kan worden dat medewerkers nogmaals dezelfde fout maken. “Wij willen ook met buurgemeenten in gesprek om te vragen wat zij wel en niet doen. Aan de ene kant wil je transparant zijn, aan de andere kant wil je de gegevens beschermen”, aldus de gemeente.

Oldambt gaat ook uitzoeken of de fout als een datalek moet worden gezien. Zo ja, dan moet de gemeente dat doorgeven aan de Autoriteit Persoonsgegevens.

Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie.

Volgens de AVG zijn organisaties verplicht om binnen 72 uur nadat een ernstig datalek is ontdekt hiervan melding te doen bij de AP. Ernstig duidt niet op de omvang van het datalek, maar op de impact die het lek kan hebben voor de betroffenen. In Oldambt betreft het slechts één slachtoffer, maar gelet op de risico’s van identiteitsfraude met het gelekte BSN-nummer is het lek wel ernstig.

Meer actueel awareness nieuws

Apple verwijdert diverse fitness apps uit de Appstore. Gebruikers werden misleid via Touch-ID

Tegen het einde van het jaar denken veel mensen na over hun goede voornemens voor volgend jaar. Veel mensen willen dan afvallen. Bijvoorbeeld met trainingsprogramma dat ze kunnen downloaden op hun smartphone. Cybercriminelen spelen daar op in.

iPhonegebruikers kwamen daar onlangs achter nadat ze apps van de ontwikkelaar Oleg Usupov hadden geinstalleerd.

De betreffende apps zagen er dankzij gekochte waarderingen van 5 sterren aantrekkelijk uit.

In de app kregen gebruikers de opdracht om hun vingerafdruk te scannen om persoonlijk advies te krijgen.

In werkelijkheid deden ze een in-app aankoop via de Touch ID-knop, die kon oplopen tot wel honderd euro. De omschrijving in de App Store beloofde een in-app aankoop van slechts 99 cent.

Veel iPhonegebruikers gaan er van uit dat de Apple Appstore veilig is. Apple zegt zich immers te onderscheiden van Android omdat het bedrijf in tegenstelling tot de concurrent een zorgvuldig review proces heeft dat er juist voor zou moeten zorgen dat kwaadaardige apps niet in de Apple appstore zouden moeten kunnen komen. Iedere app wordt immers vooraf getoetst.

Dat is bij de gewraakte fitnessapps dan niet zorgvuldig gebeurd.

Apple ontdekte het bedrog pas nadat er op Reddit uitgebreid over werd gesproken.

Meer valkuilen

Er is daarnaast al geruime tijd stevige kritiek over gratis apps die je kunt opwaarderen met in-app aankopen.

Mensen die niet zo handig zijn met hun smartphone denken gratis gebruik te maken van de app, maar worden in werkelijkheid na het installeren van de app pop-up-schermen misleid tot het afsluiten van dure abonnementen.

In het pop-up-scherm worden ze verleid tot het nemen van een gratis proefabonnement. Het kruisje om het pop-upscherm te sluiten is nauwelijks zichtbaar of verdwijnt na een paar seconden. Minder handige gebruikers denken in zo’n geval dat ze geen keuze hebben of vergeten om hun in-app abonnement op te zeggen.

Meer actueel awareness nieuws

Koop voor Sinterklaas en Kerst alleen ‘slim’ speelgoed dat is goedgekeurd. Voorkom dat kinderen worden afgeluisterd en gevolgd

Een leerrobot. Of een pratende pop. Kinderen vinden het prachtig. Ouders soms ook. De verleiding is groot om dit ‘slimme’ speelgoed met Sinterklaas of Kerst kado te geven. Dat is prima, maar controleer dan wel goed of het speelgoed officieel is goedgekeurd.

Voorkom dat er speelgoed wordt gekocht dat stiekum met camera’s, microfoons en gps via internet gegevens doorspeelt naar dubieuze netwerken.

Het moet eerst duidelijk zijn wat er met de gegevens uit de kinderkamer gebeurt en wie toegang heeft tot het nieuwe speelgoed van de kinderen.

Om te voorkomen dat er onopgemerkt of permanent video- en geluidsopnamen worden gemaakt en verzonden is het belangrijk dat de microfoon en camera ook kunnen worden gedeactiveerd. In ieder geval in de besturingsapp, maar bij voorkeur ook met schakelaars op het speelgoed.

Het is verstandig om de website van de fabrikant te bezoeken. Als het goed is kun je daar de gebruiksaanwijzingen alvast doornemen.

En natuurlijk ook de privacy disclaimer van de producent. Daar moet zijn vermeld waar de gegevens over het gebruik van het spel of de spelinformatie wordt opgeslagen. De server van de betreffende provider dient bij voorkeur in een EU-land te staan.

Daarnaast moeten ouders in de privacyverklaring aandacht besteden aan de argumenten die de fabrikant geeft voor het verzamelenen van informatie. Is het echt nodig om het speelgoed te kunnen laten functioneren?

Het maken van profielen op basis van gebruiksinformatie en het gebruik ervan voor gepersonaliseerde reclame voor kinderen is bijvoorbeeld verboden.

Zelfs als een stuk speelgoed niet rechtstreeks via WLAN met het internet is verbonden, moeten gebruikers er rekening mee houden dat gegevens via een besturingstoepassing naar de fabrikant kunnen stromen.

Ook de toegang tot speelgoed in een netwerk moet naar behoren worden beveiligd.

Bij Bluetooth-verbindingen, bijvoorbeeld de verbinding tussen een besturingsapp op de smartphone en het speelgoed, betekent dit dat het mogelijk moet zijn om deze verbinding te beschermen door het invoeren van een verwisselbare pincode, zodat vreemden het speelgoed niet kunnen kapen of in contact kunnen komen met het spelende kind.

Vaak is echter alleen een eenvoudige PIN-code ingesteld, die niet kan worden gewijzigd.

Of nog erger: het speelgoed maakt via Bluetooth automatisch verbinding met smartphones of tablets in de buurt.

Om ervoor te zorgen dat de verbinding kan worden beschermd, adviseren consumentenorganisaties de ouders ook hier om de website en gebruiksaanwijzingen van de fabrikant te raadplegen alvorens tot aankoop over te gaan.

Meer actueel awareness nieuws

Is jouw printer aangesloten op het internet? Ethical hacker hackt 50.000 onbeveiligde printers

“YOU’VE BEEN HACKED!”, rolt er plotseling uit je printer. Dat is schrikken. Het overkwam vorige week 50.000 mensen wereldwijd. Hun printer was echt gehacked. Door ethical hacker TheHackerGiraffe. Met een iets andere tekst.

TheHackerGiraffe liet de printer van zijn slachtoffers de opmerkelijke tekst “ATTENTION PewDiePie is in trouble and needs your help to defeat T-series”, afdrukken.

PewDiePie is een zeer populaire vlogger op YouTube. De af en toe controversiële PewDiePie strijdt momenteel met het YouTubekanaal T-series om de eerste plek op YouTube. T-Series, een kanaal van een Indiase muziekproducent, heeft PewDiePie in korte tijd van de eerste plaats verdrongen.

Op Twitter reageerden mensen die de opmerkelijke oproep om PewDiePie uit hun printer zagen rollen verward.

TheHackerGiraffe legt op zijn Twitter account tot in detail uit hoe hij op het idee kwam en hoe eenvoudig het is om printers te hacken. Zijn verhaal is een mooi voorbeeld bij security awareness trainingen.

Bij security awareness trainingen wordt er wel vaak aandacht aan besteed dat printers beveiligd moeten worden met een wachtwoord.

Dat je moet voorkomen dat prints onbeheerd op de printer kunnen blijven liggen, waar ze door onbevoegden zouden kunnen worden gezien.

Dat je niet eenvoudig op de repeatknop moet kunnen drukken om de laatste print te herhalen.

En dat je er bij oude printers die worden afgedankt er aan moet denken dat je het geheugen van de printer wist.

TheHackerGiraffe maakt met zijn actie duidelijk dat iedereen die zijn printer aangesloten heeft op het internet de beveiliging moet na lopen. Zorg er voor dat de firmware van je printer up-to-date is.

Het is praktisch dat je vanaf iedere locatie met elk apparaat dat je gebruikt een printopdracht kunt geven, maar dat brengt wel risico’s met zich mee als je de printer niet op de juiste manier beveiligt. Of als je een onveilige printer gebruikt.

Volgens TheHackerGiraffe zijn er in totaal ongeveer 800.000 printers die eenvoudig gehacked kunnen worden.

Hij vond zijn slachtoffers op Shodan.io, een zoekmachine voor onbeveiligde, op het internet aangesloten apparaten.

TheHackerGiraffe verstuurde het bericht met behulp van een tool die bekend staat als PRET of Printer Exploitation Toolkit.

Volgens de GitHub-pagina voor de tool, staat PRET aanvallers toe om “leuke dingen te doen zoals het vastleggen of manipuleren van printopdrachten, toegang tot het bestandssysteem en het geheugen van de printer of zelfs fysieke schade aan het apparaat veroorzaken”.

Waarom verstuurde hij het opmerkelijke bericht over PewDiePie?

“Ik ben om te beginnen eerlijk gezegd een grote fan van kerkbanken, maar ik wilde een lichtvoetige boodschap versturen die me zou vermenselijken in plaats van alleen maar een grote enge ‘YOU’VE BEEN HACKED’ te drukken,” reageert TheHackerGiraffe. “Ik ben een grote fan van PewDiePie en dacht dat het hem een klein voordeel zou kunnen geven in zijn strijd om de nummer één op YouTube te blijven.”

Meer actueel awareness nieuws

SamSam ransomware gijzelt tientallen Nederlandse bedrijven. Gevreesd wordt dat er inmiddels veel meer organisaties besmet zijn

SamSam ransomware vormt een steeds grotere bedreiging voor veel organisaties. Het betreft ingenieuze software waarmee cybercriminelen binnendringen in systemen en dan maandenlang stilletjes hun grote slag voorbereiden.

Tientallen Nederlandse bedrijven zijn volgens het cyberbeveiligingsbedrijf Fox-IT inmiddels getroffen door deze gijzelsoftware die sinds 2015 operatief is. Het aantal slachtoffers neemt de laatste tijd toe.

De SamSam ransomware is volgens Amerika ontwikkeld door twee Iraanse ingenieurs. Beiden zijn bekend.

De cybercriminelen die met SamSam werken eisen soms tot honderduizenden Euro’s losgeld (ransom) om de blokkade van computers en netwerken weer vrij te geven. Het losgeld moet betaald worden in Bitcoin.

Hoe werkt SamSam?

SamSam werkt anders dan eerdere gijzelsoftware, zoals WannaCry en GandCrab. Die sloegen meteen na besmetting toe, vergrendelden bestanden en eisten losgeld.

De makers van SamSam wachten en loeren eerst. Ze kijken waar ze zijn binnengekomen en of ze dieper in de systemen kunnen doordringen, om zo meer schade aan te richten. Daarna verwijdert of saboteert SamSam in alle stilte de back-ups, om te voorkomen dat een bedrijf de besmetting ongedaan kan maken.

Pas als dat is gebeurd, slaat SamSam toe en worden de bestanden vergrendeld.

“Dit is een nieuwe trend. Ze gaan echt geraffineerd en zorgvuldig te werk, om de kans zo groot mogelijk te maken dat een slachtoffer geen andere optie heeft dan te betalen”, zegt onderzoeker Frank Groenewegen van Fox-IT.

Doordat computersystemen gericht worden gegijzeld, kunnen de makers een hoger losgeld eisen dan bij andere besmettingen.

“Soms weten ze zelfs hoeveel geld een bedrijf op de rekening heeft staan”, zegt Groenewegen. “Die informatie kunnen ze gebruiken om de hoogte van het losgeld te bepalen. Bedrijven die niet genoeg geld hebben, gaan ze niet lastigvallen. Die zijn de moeite niet waard, dan gaan ze weg.”

In 2017 werden tienduizenden computers in bijna honderd landen getroffen door de gijzelsoftware WannaCry.

Meer actueel awareness nieuws

Volgens privacydeskundige Jeroen Terstegge heeft de CEO-fraude bij Pathé niets van doen met de #AVG. Heeft hij gelijk?

Op Twitter heb ik al enige tijd een interessante ‘discussie’ met de Nederlandse privacydeskundige Jeroen Terstegge van PM Partners over het koppelen van de AVG op deze site aan een bericht over de CEO Fraude bij de bioscoopketen Pathé. “Dit heeft echt niets met de #AVG te maken. Niet elk securityprobleem is een AVG-probleem”, twitterde Terstegge. Ik was stomverbaasd.

Terstegge reageerde op 11 november 2018 op de volgende tweet van mij:

CEO-fraude kost Pathé bioscoopketen 19 miljoen Euro. Directie ontslagen wegens nalatigheid goo.gl/FrMcMU #AVG #GDPR #Privacywet

 

Tsja, dan begin je als privacymanager toch aan jezelf te twijfelen. En wat te denken van iedereen die sowieso al twijfelt over de AVG? CEO fraude heeft volgens een van de meest vooraanstaande privacydeskundigen van Nederland dus niets te maken met de Algemene Verordening Gegevensbescherming (AVG)?

Veel mensen zijn geneigd om op Twitter meteen impulsief te reageren. Ik besloot dat niet te doen. Ik besloot om na te denken over de tweet van Terstegge die ik net als veel collega’s hoog heb zitten. En niet voor niets.

Lees zijn bio op de site van PM Partners maar:

Jeroen Terstegge is een van Nederlands meest vooraanstaande privacy juristen. Hij heeft ruim 25 jaar ervaring op privacy gebied en was als Privacy Officer van Philips een van de geestelijk vaders van de Binding Corporate Rules (BCRs). Jeroen’s stijl kenmerkt zich door het grotere plaatje te zien zonder de details uit het oog te verliezen en complexiteit terug te brengen tot de essentie. Jeroen is vertrouwd met privacyvraagstukken in multinationale omgevingen, privacy impact assessments, wet- en regelgeving en stakeholdermanagement in sectoren zoals e-commerce, energie, finance, ICT en HRM.

Waarom heeft CEO fraude niets te maken met de AVG?

Ik begrijp de tweet niet. De AVG verplicht organisaties toch om medewerkers te trainen hoe ze cyberrisico’s kunnen herkennen? De Autoriteit Persoonsgegevens (AP) hamert voortdurend op security awareness.

Twee topmanagers van Pathé worden door gewiekste cybercriminelen via social engineering misleid en bezorgen hun werkgever daardoor een miljoenenstrop.

CEO-fraude.

Social engineering.

Die woorden komen toch echt aan bod bij iedere security awareness training.

Ik besluit op 22 november 2018 Jeroen Terstegge via Twitter om uitleg te vragen.

Hallo Jeroen, ik reageer laat. Bewust. Heb nagedacht over jouw reactie. Was verbaasd. Waarom hier geen AVG? Dit was social engineering cybercrime. Hoort toch bij awareness training?

Jeroen Terstegge antwoordt meteen:

Social engineering is alleen een AVG-probleem als de directeuren in kwestie persoonsgegevens hebben vrijgegeven. In casu is ze geld afhandig gemaakt. Kortom, geen AVG-, wel security-issue. Er is overlap tussen privacy en security, maar die twee zijn niet hetzelfde.

 

 

Terstegge is een jurist, besef ik. Juristen denken anders. Ze kunnen hele wetteksten oprafelen.

Associeren daardoor ook meteen juridisch. Dat zou als volgt kunnen gaan:

  • Twee topmanagers zijn de mist ingegaan door CEO-fraude. Er zijn miljoenen Euro’s verloren gegaan, maar er zijn geen persoonsgegevens verloren gegaan.
  • AVG = persoonsgegevens…
  • Geen persoonsgegevens betekent geen zaak voor de Autoriteit Persoonsgegevens (AP).

 

Als je het Pathéverhaal op die manier juridisch analyseert heeft Terstegge gelijk.

Maar wat hij vergeet is dat de Autoriteit Persoonsgegevens er voortdurend op hamert dat de AVG meer is dan een wet. Meer dan een juridisch instrument.

De AVG moet iedereen ook bewust maken van alle cyberrisico’s die we tegenwoordig lopen. Organisaties moeten aantonen dat ze een goed privacybeleid hebben ontwikkeld. En dat ze dat beleid ook in de praktijk ook uitvoeren.

Wat dat betreft heeft Pathé wel degelijk een AVG-probleem. Hebben de managers die de fout in gingen wel een security awareness training gehad? Een van hen beweerde van niet.

Op 24 november 2018 besloot ik nogmaals te reageren richting Jeroen Terstegge. Het komt zelden voor dat een tweet me zo lang triggert.

Ik denk dat je het artikel niet helemaal hebt gelezen. Pas op het eind wordt een verband gelegd met de AVG, maar dan alleen in verband met de verplichte security awareness trainingen. Wat dat betreft is er natuurlijk wel een link naar de AVG. Maar inderdaad niet qua boetes of AP.

Opnieuw antwoordt Terstegge snel. En opnieuw verbaast het antwoord me:

Het ging mij eigenlijk meer om die hashtags. Die slaan nergens op in dit verband.

 

Jeroen is een topjurist. Ik ben behalve privacymanager ook NextMarketeer. En ik kan daarom heel goed onderbouwen dat Terstegge met dit antwoord de plank volledig misslaat.

De AVG wordt door het grote publiek automatisch geassocieerd met cybercrime. CEO-fraude en social engineering vallen onder cybercrime.

Mensen die op internet naar informatie over cybercrime zoeken maken ook gebruik van de hashtag #AVG.

Als je als privacyspecialist online gevonden wilt worden zul je dezelfde woorden moeten gebruiken als je doelgroep. En dan helpt het ook als marketeers merken dat je hun vak begrijpt.

Qua marketing is het gebruik van de hashtag #AVG dus wel degelijk relevant.

En wat mij betreft zeer zeker ook in relatie tot security awareness. En dat valt toch echt onder de AVG.

Maar dat is mijn bescheiden mening.

No hard feelings, Jeroen.

Wat vind jij? Heeft Jeroen Terstegge gelijk? Moet je CEO-fraude en social engineering niet aan de AVG koppelen? We zijn benieuwd naar jouw reactie.

Meer actueel awareness nieuws